Azure SRE Aracısı'nda kullanıcı rolleri ve izinleri

Ajanınız sorunları araştırabilir, üretim altyapısı üzerinde eylemler gerçekleştirebilir ve ortamınızdaki hassas verilere erişebilir. Erişim denetimi kimlerin eylem isteyebileceğini, kimlerin bunları onaylayabileceğinizi ve aracının yapılandırmasını kimlerin değiştirebileceğini belirler.

Erişim denetimine genel bakış

Erişim denetimi üç katmanda çalışır:

Katman Denetimler "Şurada yapılandırıldı:"
Kullanıcı rolleri (bu sayfa) Kullanıcıların aracıyla yapabilecekleri Azure IAM aracı kaynağı üzerinde
Çalıştırma modları Ajanın harekete geçmeden önce sorup sormadığı Her bir yanıt planı ve her bir zamanlanmış görev için
Aracı izinleri Aracının Azure'da erişebildiği şeyler Kaynak gruplarında RBAC rolleri

Üç yerleşik rol

Rol Bunu yapabilir Yapılamaz
SRE Ajan Okuyucusu İş parçacıklarını, günlükleri, olayları görüntüle Sohbet etme, eylem isteme, herhangi bir şeyi değiştirme
SRE Aracısı Standart Kullanıcısı Sohbet, tanılama çalıştırma, eylem isteme Eylemleri onaylama, kaynakları silme, bağlayıcıları değiştirme
SRE Aracısı Yöneticisi Eylemleri onaylama, bağlayıcıları yönetme, kaynakları silme —

Aracıyı oluşturan kullanıcı otomatik olarak SRE Aracısı Yöneticisi rolünü alır.

Kim hangi role sahip olmalıdır?

Rol Bağışla
SRE Ajan Okuyucusu Denetçiler, uyumluluk ekipleri, görünürlüğe ihtiyacı olan paydaşlar
SRE Aracısı Standart Kullanıcısı L1/L2 mühendisleri, ilk müdahale ekipleri, sorunları tanılayan herkes
SRE Aracısı Yöneticisi SRE yöneticileri, bulut yöneticileri, olay komutanları

Portal izinlerini nasıl uygular?

Portal, aracıya eriştiğinizde Azure rol atamalarınızı denetler. Erişim iki düzeyde uygulanır.

Aracı erişimi yok

SRE Ajanı rol atamanız olmadığında, portalda kalkan simgesi ve Azure IAM dikey penceresini açan Access Control düğmesine sahip Erişim Gerekli ekranı gösterilir. Kaynakta Azure Sahip veya Katkıda Bulunan varsa, Yönetici rolünü otomatik olarak atamaya yönelik bir başlık teklifi de görürsünüz.

Sunucu tarafı uygulama

SRE Aracısı rolünüz varsa ancak izinlerinizin ötesinde bir eylem gerçekleştirmeye çalıştığınızda arka uç eylemi 403 hatasıyla engeller. Portal bir sayfaya gitmenize veya bir düğme seçmenize izin verebilir, ancak sunucuya ulaştığında işlem bir izin hatasıyla başarısız olur.

Uyarı

Bazı portal özellikleri, yazma izinlerinizin olmadığı durumlarda düğmeleri proaktif olarak devre dışı bırakır. Ancak bu, tüm özelliklerde henüz tutarlı değildir; arka uç, kullanıcı arabiriminin ne gösterdiğinden bağımsız olarak her zaman doğru izinleri zorunlu tutar.

Her rolün erişebileceği şeyler

Alan Reader Standart Kullanıcı Administrator
sohbet Konuları görüntüle (salt okunur) Mesaj gönderme, ileti dizilerini başlatma Tam erişim + eylemleri onaylama, konuları silme
Aracı Tuvali Özel temsilcileri görüntüle Özel temsilcileri görüntüle Özel aracı oluşturma, düzenleme, silme
Bilgi bankası Belgelere göz atma Belgeleri yükle Belgeleri yükle ve sil
Bağlayıcılar Bağlayıcıları görüntüleme Bağlayıcıları görüntüleme Bağlayıcı ekleme, düzenleme, silme
Yanıt planları Planları görüntüleme Planları görüntüleme Plan oluşturma, düzenleme, silme
Yönetilen kaynaklar Kaynakları görüntüleme Kaynakları görüntüleme Kaynak ekleme, kaldırma
Settings Ayarları görüntüleme Ayarları görüntüleme Ayarları değiştirme, aracıyı durdurma/silme

Rol atayın

Rolleri Azure portalı (Access control (IAM)>Add role assignment) veya Azure CLI ile atama yapın.

az role assignment create \
  --assignee user@company.com \
  --role "SRE Agent Administrator" \
  --scope <agent-resource-id>

Rol adını uygun şekilde SRE Agent Standard User veya SRE Agent Reader ile değiştirin.

Roller birlikte nasıl çalışır?

Step Kim Eylem
1 Mühendis (Standart Kullanıcı) "Yapılandırma sorununu düzeltin"
2 Aracı Taslak düzeltme planı
3 Aracı Yürütülemiyor (Yönetici onayı gerekiyor)
4 Yönetici (Yönetici) Gözden geçirmeler ve onaylar
5 Aracı Yönetilen kimlik kullanarak düzeltmeyi yürütür

İlgili içerik

  • Last updated on